В ядре Drupal обнаружена критическая уязвимость в модуле Field UI, которая может позволить злоумышленнику выполнить код на сервере сайта. Исправления были выпущены 14 октября в версиях Drupal 11.4.10, 11.3.19 и 10.6.19.
Злоумышленник не может получить доступ к уязвимости только через ядро, как заявила команда безопасности Drupal в своем консультативном заключении. Существует несколько путей эксплуатации через сторонние модули, и по крайней мере один известный путь не требует входа в систему.
Уязвимость, отслеживаемая как CVE-2026-108097, находится в Field UI — основном модуле, отвечающем за административные страницы, где разработчики сайтов управляют полями и их отображением. Drupal оценивает ее в 19 из 25 баллов по собственной шкале риска, что соответствует критическому уровню.
В консультативном заключении не указаны сторонние модули, открывающие путь к уязвимости, и пользовательский код также может ее раскрыть. Дрю Веббер из команды безопасности и Октавио Галланд отмечены как сообщившие об этом.
Исправленные версии для каждой поддерживаемой ветки:
Обе ветки, 11.3.x и 10.6.x, потеряют поддержку безопасности в декабре 2026 года.
За неделю, начавшуюся 4 октября, 151 442 из 531 499 сайтов, которые сообщили о своей версии ядра Drupal на drupal.org (28,5%), использовали ветку, указанную в консультативном заключении как затронутую и не получившую исправления.
Сайт, который пока не может обновиться, может удалить модуль Field UI (field_ui), что “обеспечит защиту во время обновления сайтов”, говорится в консультативном заключении. Административные страницы для управления полями и их отображением будут недоступны во время удаления модуля.
Field UI устанавливается стандартным профилем установки Drupal, поэтому сайт, созданный на основе этого профиля, имеет этот модуль, если только кто-то его не удалил.
Drupal Steward, сервис межсетевого экрана веб-приложений с правилами, написанными командой безопасности, уже блокирует некоторые известные векторы атак для этой уязвимости. Acquia, Pantheon, Ironstar и Skpr используют его для своих клиентов. Он не охватывает все возможные эксплойты, и эти сайты все равно должны обновиться, говорится в консультативном заключении.
В консультативном заключении указано, что на момент публикации публично доступного кода для эксплуатации уязвимости не было. По состоянию на 15 октября он не появился, и ни в консультативном заключении, ни в публичных отчетах не было описано атак с его использованием.
Команда безопасности предварительно анонсировала выпуск 12 октября и рекомендовала сайтам выделить время для него, “поскольку эксплойты могут быть разработаны в течение нескольких часов или дней”.
В мае Drupal сообщил о попытках эксплуатации в течение двух дней после своего консультативного заключения по поводу уязвимости SQL-инъекции в ядре, затронувшей только сайты на PostgreSQL, и CISA добавила эту уязвимость в свой каталог эксплуатируемых уязвимостей.
Field UI создает свои административные таблицы из render arrays — PHP-массивов, которые Drupal преобразует в HTML. До исправления шаг предварительного рендеринга элемента таблицы выполнял любой PHP-вызов, содержащийся в свойстве #region_callback каждой строки таблицы, через call_user_func_array, без проверки того, что это за вызов.
Рендерер Drupal отказывается выполнять недоверенные вызовы рендеринга начиная с версии 8.8 в 2019 году — ограничение, добавленное после предыдущих консультативных заключений, показавших, что система рендеринга могла слишком легко вызывать произвольные вызовы. Рендерер доверяет собственным методам элемента таблицы, поэтому он выполнил шаг предварительного рендеринга, и проверка так и не дошла до вызываемого объекта, который затем выполнил этот шаг.
Код версии 11.4.10 больше не вызывает callback. Он считывает регион каждой строки из собственного значения региона строки и использует скрытый регион таблицы или его первый регион, когда это значение не является известным регионом. Тот же вызов присутствовал в коде как минимум с Drupal 8.9.0 в 2020 году.
В самом ядре callback устанавливается только формами отображения Field UI. Пользовательский код, который устанавливал #region_callback для строки field_ui_table, обнаружит, что он больше не выполняется после обновления. Pantheon рекомендует сайтам проверить такой код и протестировать страницы управления полями и управления отображением после обновления.
Отдельно, модуль Entity List получил собственное консультативное заключение о критическом удаленном выполнении кода (CVE-2026-108099) с теми же условиями, включая известный путь, не требующий входа в систему. В примечании к выпуску 3.0.10 говорится, что исправление отражает изменение Field UI, и обновление ядра не обновляет модуль. За неделю, начавшуюся 4 октября, 90 сайтов сообщили об использовании этого модуля.
Те же выпуски ядра также исправляют две умеренно критические уязвимости межсайтового скриптинга в модулях Link (CVE-2026-108515) и Navigation (CVE-2026-108514), обе из которых требуют как минимум вошедшего в систему пользователя.
Drupal 7 достиг конца жизненного цикла на drupal.org в январе 2025 года, но Pantheon сообщает, что его долгосрочная поддержка Drupal 7 с Tag1 Consulting выпустила Drupal 7.107 с бэкпортом исправления.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
